Quellen-Tabelle

Der BGH wies am 23.06.2020 Facebooks Eilantrag gegen die sofortige Vollziehbarkeit des Bundeskartellamt-Beschlusses vom 06.02.2019 zurück. Der Kartellsenat bestätigte vorläufig, dass Facebook seine marktbeherrschende Stellung missbraucht, weil es Nutzern keine Wahl zwischen einer Nutzung mit oder ohne Zusammenführung von Daten aus WhatsApp, Instagram und Drittwebseiten lässt.

Diese Pressemitteilung dokumentiert nur die vorläufige Eilentscheidung, nicht die endgültige Bestätigung in der Hauptsache. Der weitere Beschwerdeweg, der später zum EuGH-Verfahren C-252/21 führte, ist hier nicht Gegenstand.

Die griechische Datenschutzbehörde HDPA verhängte am 13.07.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI wegen Sammelns von Gesichtsbildern aus öffentlich zugänglichen Quellen ohne Rechtsgrundlage. Die HDPA ordnete zusätzlich ein Verarbeitungsverbot und die Löschung der Daten griechischer Betroffener an. Auslöser war eine Beschwerde der Organisation Homo Digitalis.

Ob Clearview AI das Bußgeld tatsächlich gezahlt hat, ist nicht dokumentiert, das Unternehmen hat keine EU-Niederlassung. Ob der Löschanordnung nachgekommen wurde, ist nicht unabhängig verifiziert.

Das US-Finanzministerium sanktionierte am 05.03.2024 erstmals gezielt zwei Einzelpersonen und fünf Unternehmen des Intellexa-Konsortiums wegen der Spähsoftware Predator, darunter Konsortiumsgründer Tal Dilian. Predator kann Smartphones per Zero-Click-Angriffen ohne Nutzerinteraktion infizieren, zu den Zielen zählten laut Treasury auch US-Regierungsbeamte und Journalisten. Im September 2024 folgten weitere Sanktionen gegen fünf zusätzliche Personen.

Wie wirksam die Sanktionen das Konsortium einschränkten, ist offen, Fachmedien berichteten von fortgesetzter Geschäftstätigkeit. Im Dezember 2025 hob das Treasury die Sanktionen gegen drei sanktionierte Personen wieder auf, die Gründe dafür sind nicht abschließend geklärt.

DOJ und FBI gaben am 26.01.2023 bekannt, seit Ende Juli 2022 monatelang verdeckt in die Infrastruktur der Ransomware-Gruppe Hive eingedrungen zu sein und fortlaufend Entschlüsselungscodes gesammelt zu haben. Diese wurden an über 300 aktuell angegriffene sowie mehr als 1000 frühere Opfer verteilt und verhinderten Lösegeldforderungen von rund 130 Millionen US-Dollar. Gemeinsam mit deutschen und niederländischen Behörden sowie Europol beschlagnahmten die Ermittler anschließend Hives Server.

Diese Operation wurde von beteiligten Behörden als Operation Dawnbreaker bezeichnet, nicht Operation Duck Hunt (das war die spätere, separate Qakbot-Zerschlagung im August 2023). Ob und wie viele Hive-Mitglieder identifiziert wurden, ist nicht dokumentiert.

Am 15.03.2023 nahm das FBI den 20-jährigen Conor Brian Fitzpatrick alias Pompompurin fest. Ihm wurde vorgeworfen, seit März 2022 die Hackerplattform BreachForums betrieben zu haben, die mehr als 340.000 Mitglieder zählte und als Marktplatz für gestohlene Datensätze diente. Parallel zur Festnahme führten FBI und HHS-OIG eine Operation durch, die BreachForums offline nahm.

Fitzpatrick bekannte sich im Juli 2023 schuldig und wurde nach zunächst nur Bewährungsauflagen später zu einer mehrjährigen Haftstrafe nachverurteilt. BreachForums ging kurz nach der Zerschlagung unter neuer Administration wieder online.

Am 29.08.2023 gaben FBI und DOJ die Zerschlagung des Qakbot-Botnetzes bekannt, in Zusammenarbeit mit Partnern aus sechs Ländern. Die Operation identifizierte weltweit mehr als 700.000 infizierte Computer und führte zur Beschlagnahme von 52 Servern sowie rund 8,6 Millionen US-Dollar in Kryptowährung. Laut DOJ erhielten die Qakbot-Betreiber zwischen Oktober 2021 und April 2023 rund 58 Millionen US-Dollar aus Ransomware-Zahlungen.

Es wurden keine Festnahmen bekannt gegeben. Ob die Zerschlagung dauerhaft wirkte, ist fraglich, Sicherheitsforscher beobachteten bereits im Oktober und Dezember 2023 neue Qakbot-Phishingkampagnen.

Das US-Justizministerium gab am 20.07.2017 die Abschaltung des Darknet-Marktplatzes AlphaBay bekannt, den zu diesem Zeitpunkt größten illegalen Online-Marktplatz. Der mutmaßliche kanadische Betreiber Alexandre Cazes alias Alpha02 wurde am 05.07.2017 in Bangkok festgenommen und starb am 12.07.2017 mutmaßlich durch Suizid in Haft. Auf AlphaBay wurden über 250.000 Angebote für illegale Drogen sowie mehr als 100.000 Angebote für gestohlene Identitätsdokumente gelistet.

Ob Cazes tatsächlich Suizid beging, ist nicht unabhängig untersucht, die Einschätzung stammt von der thailändischen Polizei. Die ihm vorgeworfenen Straftaten wurden nie vor einem US-Gericht verhandelt.

Die Europäische Kommission verhängte am 27.06.2017 ein Bußgeld von 2,42 Milliarden Euro gegen Google wegen Missbrauchs seiner Marktmacht als Suchmaschine. Google platzierte in 13 EWR-Ländern die Ergebnisse seines eigenen Preisvergleichsdienstes Google Shopping prominent, während Konkurrenzdienste nur als einfache Links erschienen. Der Europäische Gerichtshof bestätigte die Entscheidung und die volle Bußgeldhöhe am 10.09.2024 in letzter Instanz.

Wie stark sich Googles seit 2017 geänderte Anzeigemechanismen tatsächlich auf Marktanteile konkurrierender Dienste auswirkten, ist nicht unabhängig verifiziert. Die separaten EU-Kartellverfahren zu Android und AdSense sind nicht Gegenstand dieser Entscheidung.

Die Europäische Kommission verhängte am 18.07.2018 eine Kartellstrafe von rund 4,34 Milliarden Euro gegen Google wegen Praktiken rund um Android: verpflichtende Vorinstallation von Google Search und Chrome als Play-Store-Bedingung, Zahlungen an Hersteller für exklusive Vorinstallation sowie Behinderung alternativer Android-Forks seit 2011.

Das Gericht der EU reduzierte die Strafe 2022 im Berufungsverfahren auf rund 4,125 Milliarden Euro. Ein späteres letztes Rechtsmittel vor dem EuGH im Sommer 2026 wurde für diesen Eintrag nicht anhand einer EU-Primärquelle verifiziert.

Die Europäische Kommission verhängte am 20.03.2019 eine Kartellstrafe von 1,49 Milliarden Euro gegen Google wegen restriktiver Klauseln in AdSense-for-Search-Verträgen mit Drittwebsites, darunter Exklusivitätsvorgaben und Genehmigungsvorbehalte für Konkurrenzanzeigen, festgestellt für den Zeitraum 2006 bis 2016.

Das Gericht der EU hob die Entscheidung samt Bußgeld am 18.09.2024 auf, weil die Kommission die wettbewerbsschädigende Wirkung nach Ansicht des Gerichts nicht ausreichend nachgewiesen hatte. Der weitere Verfahrensausgang danach wurde hier nicht recherchiert.

Die französische Wettbewerbsbehörde verhängte am 07.06.2021 ein Bußgeld von 220 Millionen Euro gegen Google wegen Missbrauchs einer marktbeherrschenden Stellung bei Ad-Servern, indem Google seine eigenen Dienste DoubleClick for Publishers und AdX bevorzugte. Auslöser war eine Beschwerde von News Corp aus 2019. Google ging im Vergleichsverfahren Verpflichtungen zur Interoperabilität mit Dritt-SSPs ein.

Ob die Interoperabilitäts-Verpflichtungen in der Praxis tatsächlich Wettbewerb wiederherstellten, ist nicht im Detail nachgezeichnet. Das Verhältnis zu späteren, umfassenderen EU-Kommissionsverfahren gegen Googles Adtech-Geschäft bleibt offen.

Das BSI warnte am 15.03.2022 auf Grundlage von § 7 BSI-Gesetz vor dem Einsatz von Virenschutzprodukten des russischen Herstellers Kaspersky. Begründet wurde dies mit dem Vorgehen russischer militärischer und nachrichtendienstlicher Kräfte im Kontext des Angriffskriegs gegen die Ukraine sowie den weitreichenden Systemberechtigungen von Antivirensoftware. Es war das erste Mal, dass die Behörde vor der gesamten Produktfamilie eines einzelnen Herstellers warnte statt vor einer konkreten Sicherheitslücke.

Dass Kaspersky-Software tatsächlich für Spionage im Auftrag russischer Stellen missbraucht wurde, ist nicht belegt. Das BSI räumte ein, die Warnung beruhe auf einer Risikoeinschätzung, nicht auf einem konkreten technischen Nachweis. Kaspersky bestritt die Vorwürfe und ging rechtlich gegen die Warnung vor.

Die CNIL verhängte am 07.12.2020 ein Bußgeld von 35 Millionen Euro gegen Amazon Europe Core, weil beim Besuch von amazon.fr rund 40 Werbe-Cookies automatisch platziert wurden, bevor Nutzer eine Wahl treffen konnten. Der Hinweisbanner informierte zudem nicht ausreichend über Zwecke und Ablehnungsmöglichkeit. Der französische Staatsrat bestätigte die Sanktion am 27.06.2022 in vollem Umfang.

Wie viele Nutzer konkret betroffen waren, ist nicht quantifiziert, die Entscheidung stellt primär auf formale Einwilligungsverstöße ab. Die genaue technische Zusammensetzung der beanstandeten Cookies ist nicht im Detail dokumentiert.

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die schwedische Datenschutzbehörde IMY verhängte am 29.03.2022 gegen Klarna Bank AB ein Bußgeld von 7,5 Millionen schwedischen Kronen, umgerechnet rund 671.000 Euro. Geprüft wurde der Zeitraum Frühjahr 2020, Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige Angaben zu Empfängern personenbezogener Daten, darunter Auskunfteien.

Der spätere gerichtliche Verlauf, darunter eine zwischenzeitliche Herabsetzung und Wiederanhebung auf 7,5 Millionen Kronen durch das Kammarrätten im März 2024, ist in dieser Pressemitteilung selbst noch nicht abgebildet. Dieser Fall betrifft eine administrative Bußgeldentscheidung wegen Informationspflichten und ist getrennt vom separaten App-Datenpannen-Vorfall von Klarna 2021 zu betrachten.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Die IT-Sicherheit der Nordex Group stellte am 31.03.2022 fest, dass das Unternehmen Ziel eines Cybersicherheitsvorfalls war. Als Vorsichtsmaßnahme wurden IT-Systeme mehrerer Geschäftsbereiche an verschiedenen Standorten abgeschaltet und der Fernzugriff auf vertraglich betreute Windturbinen deaktiviert. Die Turbinen liefen nach ersten Erkenntnissen unbeeinträchtigt weiter.

Die genaue Zahl der betroffenen Standorte und das Ausmaß des Datenabflusses sind nicht offiziell spezifiziert. Die Ransomware-Gruppe Conti reklamierte den Angriff laut Medienberichten für sich, dies wurde von Nordex nicht explizit bestätigt.

Der EuGH entschied am 04.05.2023 in der Rechtssache C-300/21, dass ein bloßer DSGVO-Verstoß allein noch keinen Anspruch auf Schadensersatz nach Artikel 82 begründet. Der Anspruch setzt drei kumulative Voraussetzungen voraus: einen Verstoß, einen dadurch entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Der EuGH stellte klar, dass ein immaterieller Schaden keine bestimmte Erheblichkeitsschwelle überschreiten muss. Anlass war die Klage eines Österreichers, dem die Post AG per Algorithmus ohne Einwilligung eine Parteiaffinität zugeschrieben hatte.

Der EuGH entscheidet in Vorabentscheidungsverfahren nicht über den konkreten Streitfall, das blieb dem Obersten Gerichtshof Österreichs überlassen. Nach welchen Kriterien die Höhe eines immateriellen Schadens zu bemessen ist, ließ der EuGH offen und verwies auf die Mitgliedstaaten.

Der BGH entschied am 18.11.2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren über Ansprüche aus dem Facebook-Scraping-Vorfall von 2021, bei dem Daten von rund 533 Millionen Nutzern offengelegt wurden. Der BGH bestätigte, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden nach Art. 82 DSGVO begründen kann, ohne konkreten Missbrauch nachweisen zu müssen. Der Vorsitzende Richter nannte für den bloßen Kontrollverlust eine Größenordnung von etwa 100 Euro und verwies die Sache zurück an das OLG Köln.

Der Betrag von rund 100 Euro ist eine richterliche Orientierungsgröße, keine feste Summe für alle Fälle. Wie sich die Entscheidung auf tausende weitere anhängige Parallelverfahren auswirkt, ist nicht abschließend geklärt, da diese jeweils neu bewertet werden müssen.

NHS England vergab im November 2023 den Vertrag für die landesweite Federated Data Platform an ein von Palantir Technologies UK geführtes Konsortium mit Accenture, PwC und weiteren Partnern. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Investitionsvolumen von bis zu 330 Millionen Pfund. Die Plattform soll Daten aus bis zu 240 NHS-Organisationen zusammenführen, um Wartelisten zu verkürzen.

Wie hoch der tatsächlich ausgezahlte Betrag im Vergleich zum Maximalvolumen ausfällt, ist offen. Dieser Eintrag betrifft ausdrücklich den 2023 abgeschlossenen Langzeitvertrag, nicht den früheren Notfallvertrag von 2020 zum COVID-19 Data Store.

Im Dezember 2013 verlangte ein US-Bundesrichter von Microsoft die Herausgabe von E-Mail-Inhalten, die in einem Rechenzentrum in Dublin gespeichert waren. Microsoft focht dies an, am 14.07.2016 entschied das Berufungsgericht des Zweiten Bezirks zugunsten von Microsoft. Am 17.04.2018 erklärte der Supreme Court den Fall für gegenstandslos, nachdem der CLOUD Act eine neue gesetzliche Grundlage geschaffen hatte und das Justizministerium einen neuen Durchsuchungsbeschluss erwirkte.

Da der Supreme Court den Fall wegen Gegenstandslosigkeit nicht in der Sache entschied, bleibt offen, wie er über die extraterritoriale Reichweite von US-Durchsuchungsbeschlüssen geurteilt hätte.

Google zahlte 2012 eine Rekordstrafe von 22,5 Millionen US-Dollar an die FTC wegen Umgehung der Cookie-Blockade im Safari-Browser trotz gegenteiliger Zusicherungen. Die FTC wertete dies als Verstoß gegen eine frühere Vergleichsvereinbarung von Oktober 2011 im Google-Buzz-Fall. Die Kommission stimmte am 09.08.2012 mit 4 zu 1 Stimmen für die Einigung.

Der Vergleich enthielt kein Schuldeingeständnis von Google. Wie viele Safari-Nutzer konkret betroffen waren, geht aus der Pressemitteilung nicht hervor.

Die FTC gab am 15.08.2017 einen Vergleich mit Uber bekannt. Die Behörde warf Uber vor, Nutzer getäuscht zu haben, indem das Unternehmen behauptete, den internen Mitarbeiterzugriff auf Standortdaten streng zu kontrollieren. Konkret nannte die FTC das interne Tool God View, mit dem Mitarbeiter Echtzeit-Standorte von Fahrern und Kunden einsehen konnten. Uber verpflichtete sich zu einem umfassenden Datenschutzprogramm und unabhängigen Audits über 20 Jahre.

Der Vergleich von 2017 sah keine Geldstrafe vor. Die FTC erweiterte diesen Vergleich 2018, nachdem bekannt wurde, dass Uber einen Datenschutzvorfall aus 2016 während des laufenden Verfahrens verschwiegen hatte, dieser spätere Vergleich ist nicht Gegenstand dieser Quelle.

Der California Consumer Privacy Act trat am 01.01.2020 in Kraft. Das Gesetz gewährt Verbrauchern in Kalifornien ein Auskunftsrecht, ein Löschrecht und ein Widerspruchsrecht gegen den Verkauf ihrer personenbezogenen Daten. Es gilt für Unternehmen mit mehr als 25 Millionen US-Dollar Jahresumsatz oder mit Kauf/Verkauf der Daten von mindestens 50.000 Verbrauchern.

Wie viele Beschwerden oder Bußgelder es im ersten Jahr nach Inkrafttreten gab, wird hier nicht beziffert. Die spätere Verschärfung durch die California Privacy Rights Act ab 2023 ist nicht Gegenstand dieser Quelle.